WordPress Recent Posts From Each Category 插件 <= 1.4 - 跨站请求伪造 (CSRF) 漏洞

此 CSRF 漏洞结合存储型 XSS 攻击，使得攻击者能够诱导用户执行未经授权的操作，例如修改网站内容、窃取用户凭据或植入恶意脚本。攻击者可以通过精心设计的恶意链接或表单，欺骗用户点击并提交包含恶意代码的请求。存储型 XSS 攻击意味着恶意脚本会被存储在数据库中，并影响所有访问相关页面的用户，造成更广泛的影响。攻击者可以利用此漏洞进行钓鱼攻击、窃取敏感数据，甚至完全控制受影响的网站。

Websites using the Recent Posts From Each Category plugin, particularly those with user accounts and sensitive data, are at risk. Shared hosting environments where multiple websites share the same server resources are also at increased risk, as a compromise of one site could potentially lead to the compromise of others.

• wordpress / composer / npm:

grep -r 'recent-posts-from-each-category' /var/www/html/wp-content/plugins/

• generic web:

curl -I https://example.com/wp-content/plugins/recent-posts-from-each-category/ | grep -i 'content-security-policy'

• wordpress / composer / npm:

wp plugin list --status=inactive | grep recent-posts-from-each-category

1. 2025-12-31Disclosure

   disclosure

1. 已保留2025-06-04
2. 发布日期2025-12-31
3. 修改日期2026-04-28
4. EPSS 更新日期2026-03-23

为了缓解 CVE-2025-49354 的影响，首要措施是立即升级到最新版本的 Recent Posts From Each Category 插件。如果无法立即升级，可以考虑使用 Web 应用防火墙 (WAF) 来过滤恶意请求，并实施严格的输入验证和输出编码策略，以防止 XSS 攻击。此外，建议定期审查网站代码，并使用安全扫描工具来检测潜在的漏洞。如果升级导致网站出现问题，可以尝试回滚到之前的版本，并联系插件开发者寻求支持。

活跃安装数

50

插件评分

3.7

需要WordPress版本

3.0+

兼容至

4.0.38